Исследователь CISPA проверил, переживают ли водяные знаки ИИ-картинок обучение новых моделей

Водяные знаки на ИИ-изображениях до сих пор в основном проверяли на устойчивость к правкам: JPEG-сжатию, кадрированию, шуму, фильтрам. Исследователь CISPA Michel Meintz из SprintML Lab задал другой вопрос. Что будет, если помеченные картинки попадут в обучающую выборку новой генеративной модели, и увидим ли мы след метки в её выдаче? Ответ, судя по заголовку работы: метка может пережить обучение, но насколько она стойкая, определяется её конструкцией. Количественных результатов в исходном материале нет, поэтому ниже разобрано, что известно и как это читать.

Какой вопрос задан

Водяные знаки нужны, чтобы изображение можно было опознать как сгенерированное и проследить его происхождение. Классическая модель угрозы выглядит так: кто-то берёт готовую картинку и пытается стереть метку. Он пересжимает файл, обрезает кадр, добавляет шум. Работ на эту тему много.

Meintz смотрит на другой сценарий. Сгенерированные изображения давно лежат в открытом вебе, а веб остаётся главным источником данных для обучения. Если такие картинки с метками попадают в датасет, новая модель может унаследовать их статистические особенности. Тогда её выдача тоже окажется помеченной, хотя к исходному генератору она отношения не имеет. Возможен и обратный исход: метка не передаётся, и по новой модели оригинальный источник не проследить.

Почему всё упирается в дизайн метки

Схемы маркировки устроены по-разному, и это, вероятно, объясняет разброс в результатах. Метаданные вроде C2PA вообще не живут в пикселях и пропадают при пересохранении, до обучения они просто не доходят. Постобработка добавляет сигнал в пиксельную или частотную область готового изображения. Есть методы, встроенные в сам генератор. Например, Stable Signature от Meta дообучает декодер латентной диффузионной модели, а Tree-Ring задаёт паттерн в начальном шуме. Предположение, что чем глубже сигнал вшит в статистику изображения, тем вероятнее он перейдёт в новую модель, выглядит логично. Но это гипотеза, а не заявленный вывод исследования.

Для индустрии вопрос практический. Если метка наследуется, детекторы получают ложные срабатывания на контенте других моделей. Если не наследуется, цепочку происхождения нельзя доверять там, где контент прошёл через переобучение.

Что известно на данный момент

• Автор: Michel Meintz, SprintML Lab, CISPA.
• Объект исследования: водяные знаки на ИИ-изображениях.
• Постановка: устойчивость к обучению новой генеративной модели, а не к правке отдельной картинки.
• Главный итог: метки могут сохраняться, но стойкость зависит от дизайна схемы.
• Не раскрыто в анонсе: перечень схем, модели и датасеты, доли успешного обнаружения.

Что проверять на практике

Платформам и редакциям стоит рассматривать водяной знак как один сигнал из набора, а не как окончательное доказательство происхождения. Рядом должны стоять метаданные, поведенческие признаки и ручная проверка спорных случаев.

Командам, которые дообучают модели на веб-данных, нужно учитывать, что чужие метки могут просочиться в их выдачу. Для разработчиков детекторов это означает отдельный тест: не только «стирается ли метка при правке», но и «появляется ли она там, где не должна».

Окончательные выводы лучше делать после выхода полной статьи: нужны конкретные схемы, условия обучения и метрики обнаружения. Пока ясно одно: вопрос о том, переживает ли водяной знак переобучение, теперь поставлен отдельно, и ответ на него «да, но не у всех».